16 сентября 2026 года Debian выпустил уведомление DSA-6496-2 об исправлении регрессии в nginx-dev. После предыдущего обновления безопасности сторонние модули перестали собираться с этим пакетом. Для Debian trixie проблему исправили в версии 1.26.3-3+deb13u9.
Это важно тем, кто собирает собственные динамические модули nginx или поддерживает пакеты с такими модулями. Ошибка проявлялась на этапе сборки, поэтому сам работающий сайт мог продолжать отвечать, пока проблема обнаруживалась в CI или при пересборке расширения.
Какие зависимости сломали сборку
Предыдущее обновление DSA-6496-1 переносило исправление CVE-2026-42533 в пакет Debian. При переносе два приватных заголовочных файла объявили зависимостями сборки модулей. Но в nginx-dev эти файлы не поставлялись.
Получилась несогласованность: система сборки требовала файлы, которых установленный пакет разработки не содержал. В DSA-6496-2 Debian исправил именно эту проблему. В уведомлении указан связанный баг Debian 1147527 и точная исправленная версия для стабильной trixie.
Из этого не следует, что любой сторонний модуль надо переписывать. Если сборка остановилась после пакетного обновления и сообщает об отсутствующих заголовках nginx, сначала стоит проверить установленную версию nginx-dev и соответствие остальных пакетов.
Как обновлять сервер с собственными модулями
Перед обновлением сохраните конфигурацию и список установленных пакетов nginx. Уточните, из какого репозитория они пришли: инструкция для Debian trixie относится к пакетам Debian, а не автоматически к любой сборке nginx с похожим номером.
Обновите согласованный набор пакетов, включая nginx-dev, если он используется для сборки. Для trixie ориентир этого исправления: 1.26.3-3+deb13u9 или более новая пакетная версия с тем же исправлением.
Затем повторите сборку стороннего модуля в том окружении, где она падала. Успешная сборка ещё не заменяет проверку загрузки: протестируйте модуль с целевым nginx, выполните проверку конфигурации и только потом планируйте применение на рабочем сервере.
Откат всего обновления безопасности ради восстановления сборки возвращает и старый риск. Предпочтительнее установить исправленный пакет разработки, чем надолго оставаться на уязвимой сборке или вручную подменять системные заголовки файлами из другой версии.
Почему номер ветки недостаточен
Ветка nginx и версия пакета Debian описывают разные вещи. Исправления могут переноситься в поддерживаемую ветку без перехода на новый upstream-релиз. Поэтому сравнивать нужно полную версию пакета вместе с суффиксом Debian.
Для остальных выпусков Debian статус пакета можно смотреть в трекере безопасности nginx. Исправление для trixie нельзя механически переносить на bookworm или на пакет из стороннего репозитория.
Практический результат DSA-6496-2 простой: сторонние модули снова можно собирать с актуальным nginx-dev, не отказываясь от предыдущего исправления безопасности. После обновления остаётся проверить собственную сборку и загрузку модулей.
Для Debian 12 выпущено отдельное обновление: DLA-4784-1 с тремя исправлениями nginx.
